Definir la configuración del producto antes de elegir ensayos
Comercializar una cerradura inteligente en la UE no consiste en obtener un único «certificado CE». Una cerradura Bluetooth a pilas puede ser simultáneamente equipo radioeléctrico, aparato electrónico, producto digital de seguridad y componente de una puerta. La evaluación debe referirse al modelo acabado, sus comunicaciones, el servicio informático y la puerta prevista, no solo al certificado del módulo inalámbrico.
Definir la configuración del producto antes de elegir ensayos
Describa cada referencia comercial, versión de firmware y paquete vendido. Cerradura, pasarela opcional, aplicación, adaptador y cilindro vendido aparte pueden tener clasificaciones jurídicas distintas.
- Radio: BLE, Wi‑Fi, Thread/Zigbee, NFC, bandas, potencia, antena, límites nacionales y pasarela incluida.
- Conexión: ¿intercambia la propia cerradura datos por internet directamente o a través del móvil/hub? Distinguir apertura remota y local.
- Datos: identidades, llaves de invitados, registros, biometría, nube, conservación y responsable.
- Montaje: motor auxiliar o cerradura electromecánica completa; puerta cortafuegos/salida, pilas agotadas y apertura manual.
- Conjunto comercial: baterías, cargador, embalaje, marca, primer país de venta e importador en la UE.
Modelo sin radio: una cerradura electrónica con teclado no entra en RED solo porque exista una aplicación móvil o un accesorio separado. Para aparatos electrónicos incluidos en su ámbito, examinar la Directiva CEM 2014/30/UE; la Directiva de Baja Tensión 2014/35/UE solo se aplica al equipo comprendido entre 50 y 1.000 V CA o 75 y 1.500 V CC, con sus exclusiones. En una cerradura radioeléctrica acabada, la propia RED cubre los objetivos de seguridad eléctrica y CEM; no se deben duplicar automáticamente esas vías para el mismo aparato.
Matriz normativa de una cerradura inteligente para la UE
| Normativa / supuesto | Consecuencia | Prueba / decisión |
|---|---|---|
| RED 2014/53/UE – equipo radioeléctrico | Generalmente se aplica a la cerradura que emite/recibe ondas intencionadamente: seguridad, CEM y espectro; los objetivos de seguridad RED carecen de umbral de tensión. | Arquitectura radio, informes RF/CEM/seguridad, normas citadas en DOUE, declaración UE y CE. |
| Ciberseguridad RED – internet/datos/pagos | Desde el 1 de agosto de 2025, 2022/30 activa el art. 3(3)(d) para radios conectadas a internet, (e) según datos procesados y (f) si permiten transferir dinero/valor. No todas las radios quedan incluidas automáticamente. | Diagrama de conexiones y datos, amenazas de llaves remotas, EN 18031 y excepciones. |
| RoHS 2011/65/UE – electrónica | Normalmente pertinente para equipos electrónicos en su ámbito; limita sustancias peligrosas según categoría y exenciones. | Declaraciones de componentes/materiales y pruebas relativas a la unidad acabada. |
| RAEE 2012/19/UE – residuos electrónicos | Puede exigir registro del productor, financiación de recogida y símbolo del contenedor tachado, según país; no es otra certificación CE. | Categoría RAEE, responsabilidad ampliada del productor por país y etiquetado. |
| Baterías 2023/1542 – pilas incluidas | Comprobar categoría y obligaciones; el art. 11 sobre extracción y sustitución de baterías portátiles rige desde el 18 de febrero de 2027, con excepciones. | Características de la batería, gestión de residuos, instrucciones y revisión de diseño. |
| RGPD 2016/679 – datos personales | Cuentas, llaves digitales, biometría o registros de acceso identificables requieren analizar responsables, base jurídica, información y seguridad; el RGPD no es un marcado CE. | Flujos, responsables/encargados, información, permisos, conservación y contratos. |
| CRA 2024/2847 – seguridad digital | El anexo III enumera los productos de seguridad del hogar inteligente, incluidas las cerraduras, como productos importantes de clase I, pero no toda cerradura entra automáticamente. El Reglamento de Ejecución 2025/2392 (categoría 17) exige productos digitales que protejan la seguridad física del consumidor en un entorno residencial y puedan controlarse o gestionarse a distancia desde otros sistemas; incluye los controladores centrales. Una cerradura exclusiva para hoteles o sin esa gestión no es automáticamente categoría 17: evaluar el producto completo y otras categorías CRA. Los requisitos principales rigen por regla general desde el 11 de diciembre de 2027; los avisos del art. 14 desde el 11 de septiembre de 2026, incluso para productos anteriores dentro del ámbito CRA (art. 69.3). | Documentar uso residencial o profesional, arquitectura de control remoto, función principal, clasificación 2025/2392, notificación de vulnerabilidades y futura evaluación. |
| Construcción/evacuación y RSGP 2023/988 | Una cerradura para puertas especiales o salidas de emergencia requiere analizar normas de construcción, herrajes e instalación. El RSGP cubre riesgos de consumo residuales no tratados por normas sectoriales. | Afirmaciones sobre puertas, EN 14846 y salida de emergencia, fallos y límites de instalación. |
| Envases 2025/40 | El PPWR se aplica por fases, en general desde el 12 de agosto de 2026; requisitos y responsabilidad del productor se revisan aparte de RED. | Material del envase, proveedores, registros nacionales y fase de etiquetado. |
No confundir dos pruebas: la categoría 17 del CRA se refiere al control o la gestión a distancia desde otro sistema de productos de seguridad física para consumidores en viviendas. A diferencia del requisito ciber RED, su definición no exige conexión a internet. Por tanto, una cerradura BLE manejada localmente desde el móvil puede requerir evaluación como clase I, categoría 17, del CRA aunque no sea equipo conectado a internet según RED 2022/30. Llamarla «inteligente» no determina ninguna de las dos rutas.
Internet, datos personales y pagos: tres condiciones distintas
Una aplicación móvil no demuestra por sí sola que la cerradura esté «conectada a internet» según el acto delegado. Debe acreditarse si el equipo radio puede intercambiar datos de internet directamente o mediante equipos intermedios, según protocolos reales. El Reglamento Delegado 2026/339 deroga el 2022/30 desde el 11 de diciembre de 2027, cuando comienzan las obligaciones principales del CRA; sigue siendo posible vigilar los equipos sujetos a esas reglas comercializados del 1 de agosto de 2025 al 10 de diciembre de 2027.
| Versión | Pregunta del art. 3(3) RED | Comprobación necesaria |
|---|---|---|
| Bluetooth local; la app no envía datos de la cerradura a internet | RED básica sí; que el teléfono tenga internet no convierte automáticamente a la cerradura en equipo conectado. | Probar la arquitectura sin conexión y otras categorías incluidas. |
| Puente y nube; apertura remota e invitados | La conexión apunta a (d); (e) depende de los datos personales/de tráfico/ubicación procesados. | Seguimiento cerradura–puente–nube, autenticación, actualizaciones, revocación y registros. |
| Huella guardada localmente | La biometría exige análisis de datos y seguridad física, pero no significa por sí sola conexión a internet. | Tratamiento biométrico, roles, apertura alternativa y otras categorías RED (e). |
| Pagos o transferencias de valor en la cerradura | (f) requiere radio conectada que permita transferir fondos/valor; pagar una suscripción en una web ajena no basta. | Función económica, EN 18031-3 y límites del DOUE. |
Herrajes, vías de evacuación y peligros mecánicos
La afirmación de resistencia al robo no acredita uso en puertas cortafuegos o de evacuación. EN 14846 se refiere a determinadas cerraduras y cerraderos electromecánicos, no a todos los motores de adaptación. Determine si se aplican reglas de productos de construcción y si hacen falta pruebas del conjunto de puerta. Documente la salida desde dentro, anulación mecánica, batería descargada, pestillo bloqueado, alarma contra incendios y compatibilidad. No anuncie aptitud de evacuación sin pruebas para el montaje real.
Expediente de pruebas técnicas de la cerradura
| Documento / responsable | Contenido probatorio |
|---|---|
| Definición final – fabricante | Variantes, puertas, pilas, frecuencias, pasarela, aplicación, versiones y accesorios. |
| Mapa jurídico – cumplimiento | Decisiones fechadas sobre RED, ciber, RoHS, baterías, RAEE, envases, RGPD, CRA y puertas. |
| Informes radio/CEM/seguridad – laboratorio | Antena, carcasa y alimentación finales, riesgos y normas armonizadas elegidas. |
| Modelo de amenazas – seguridad | Emparejamiento, caducidad/revocación de llaves, apertura indebida, OTA, nube caída y contraseñas. |
| Ensayos de puerta/fallos – ingeniería | Apertura ante pilas agotadas, bloqueo o incendio, restricciones de montaje y ensayos mecánicos. |
| Documentos de proveedores – compras | RoHS, baterías y cambios; el CE del módulo no sustituye el del producto. |
| Declaración y etiquetas – fabricante/importador | Declaración UE firmada, identificación, CE/RED e instrucciones en idiomas necesarios. |
| Posventa – responsable designado | Recepción de vulnerabilidades, correcciones/retirada, soporte, versiones y registros del productor. |
Responsables de la conformidad e intervención de un organismo notificado
Quien comercializa la cerradura terminada bajo su marca suele ser el fabricante, aunque subcontrate el montaje. Para productos cubiertos se necesita un operador económico adecuado en la UE; el importador tiene deberes propios de comprobación y trazabilidad. Según RED, el fabricante conserva expediente y declaración UE durante diez años tras la introducción en el mercado.
El CE se coloca después de evaluar la conformidad; no existe un «certificado CE» único expedido por la UE. RED, art. 17, permite control interno para el art. 3(1). Para requisitos de espectro y ciber del art. 3(2)/(3), la aplicación completa de normas armonizadas publicadas decide si cabe control interno o interviene un organismo notificado. EN 18031 fue publicada con restricciones en la Decisión 2025/138. El itinerario CRA de clase I se analiza por separado.
Para la clase I del CRA, el art. 32.2 permite el control interno solo con aplicación íntegra de normas armonizadas, especificaciones comunes o sistemas admisibles de certificación de ciberseguridad. Si faltan o solo se aplican parcialmente, se exige el procedimiento de terceros B+C o H para los requisitos afectados. La decisión sobre un organismo notificado RED no sustituye la evaluación CRA.
Etiquetado y comprobaciones previas a la venta
- Congelar cerradura, pasarela, pilas, adaptador, firmware y funciones en la nube comercializadas.
- Resolver normativa y eventual organismo notificado antes de firmar la declaración.
- Vincular pruebas RF, CEM, seguridad, sustancias, ciber y mecánica a una misma versión final.
- Revisar CE, referencia, fabricante/importador, frecuencia/potencia e información/instrucciones RED.
- Aportar instrucciones y advertencias en los idiomas requeridos por cada Estado de venta.
- Verificar RAEE, pilas, envases, registros del productor y fase PPWR por separado.
- Probar pérdida del móvil, apertura fuera de línea y parches; no prometer función de evacuación sin pruebas.
Tres configuraciones: criterios de autorización de venta
| Configuración | Ruta inicial | Condición que impide vender |
|---|---|---|
| Motor BLE local con pilas reemplazables | RED, probablemente RoHS; baterías, RAEE, envases y riesgos restantes. Demostrar si no existe conexión internet. | Faltan pruebas RF, arquitectura sin conexión o acceso manual seguro. |
| Cerradura Wi‑Fi/nube con llaves invitadas | RED con partes pertinentes de 2022/30, RGPD, RoHS, residuos/envases y preparación CRA. | Sin revocación segura, actualizaciones, revisión EN 18031 o datos. |
| Cerradura de hotel para puerta de evacuación | Rutas anteriores más requisitos de herrajes, salida y conjunto de puerta. | No se acredita apertura segura/compatibilidad o se proclama resistencia al fuego sin pruebas. |
Control de cambios tras la comercialización
Conserve pruebas vinculadas a cada versión de hardware y firmware. Reevalúe antes de nuevas partidas cuando cambien:
- Chip radio, antena, alimentación o carcasa → reevaluar RF, CEM, seguridad y RED.
- Puente en nube, apertura remota o pago → revisar 2022/30 y ciberprotecciones.
- Biometría, analítica o alojamiento fuera de la UE → revisar RGPD y seguridad.
- Tipo de puerta, caja de cerradura, promesa de salida o química de pila → riesgos mecánicos y ambientales.
Fuentes jurídicas y orientaciones oficiales
La clasificación se funda en textos oficiales. Las normas solo generan presunción de conformidad dentro de su alcance y con las restricciones publicadas en el Diario Oficial.
- Directiva de equipos radioeléctricos
- Ciberseguridad radioeléctrica delegada
- Cambio de fecha de los requisitos ciber
- Normas armonizadas con restricciones
- Reglamento de Ciberresiliencia
- Restricciones de sustancias peligrosas
- Residuos de aparatos eléctricos
- Pilas, baterías y sus residuos
- Protección de datos personales
- Seguridad general de los productos
- Envases y residuos de envases
- Operadores económicos responsables en la UE
- Procedimiento oficial de marcado CE
- Derogación y transición al CRA
- Descripción oficial de categorías CRA, Reglamento 2025/2392
- Comisión Europea: notificaciones del CRA
- Directiva de compatibilidad electromagnética (sin radio)
- Directiva de baja tensión (rango de tensiones)
Preguntas frecuentes sobre cerraduras inteligentes
¿El CE del módulo Bluetooth certifica toda la cerradura?
No. Producto final, antena, carcasa, alimentación y software requieren su evaluación y declaración.
¿BLE sin Wi‑Fi excluye siempre las reglas ciber de RED?
No. Revise si la cerradura intercambia datos internet por móvil/puente y si pertenece a otras categorías.
¿Todas las cerraduras necesitan organismo notificado?
No. Depende de los requisitos RED aplicables y normas armonizadas utilizadas; el CRA tiene clasificación propia.
¿Puede anunciarse cualquier cerradura para salidas de emergencia?
No sin pruebas para puerta, herrajes y exigencias de evacuación concretas.
¿RGPD y legislación de ciberseguridad son equivalentes?
No. RED/CRA regulan seguridad del producto; RGPD regula datos personales, funciones de las partes y derechos.
¿Toda cerradura electrónica, incluso una exclusiva de hotel, es automáticamente clase I CRA?
No. Deben leerse juntos el anexo III y la categoría 17 del Reglamento 2025/2392: seguridad física del consumidor en viviendas y control o gestión a distancia desde otro sistema. Los productos profesionales o aislados requieren análisis propio; quedar fuera de la categoría 17 no excluye automáticamente el CRA.